Las amenazas cibernéticas se han incrementado considerablemente en los últimos años y la industria aseguradora es un blanco atractivo para los ciberdelincuentes debido a la gran cantidad de data que manejan. De ahí que, resulta imperativo, que las empresas del sector inviertan de manera proactiva en una sólida protección integral en ciberseguridad, incorporando medidas preventivas, correctivas y de detección.
Así lo afirma Mario Álvarez, director de Riesgos Cibernéticos de Howden, firma global especializada en corretaje de seguros, gestión de riesgos y consultoría de siniestros.
En entrevista exclusiva con El Asegurador, aseveró que dicha estrategia no sólo fortalecerá la resiliencia de la organización ante amenazas cibernéticas, sino que también salvaguardará la confidencialidad, integridad y disponibilidad de los datos críticos.
El Asegurador: ¿Cuáles son las vulnerabilidades específicas en los sistemas de seguros que los ciberdelincuentes suelen aprovechar?
Mario Álvarez (MA): Ciertas vulnerabilidades específicas en los sistemas de aseguradoras suelen constituir puntos de explotación para actores maliciosos en el ámbito cibernético. Algunos de éstos fallos incluyen:
· Carencia de controles de seguridad o debilidades en los mismos. Un porcentaje significativo de los ataques dirigidos a aseguradoras deriva de fallos en la configuración, mantenimiento o actualización de sus equipos y aplicaciones. Estas deficiencias facilitan el acceso no autorizado o el robo de información por parte de los atacantes.
· Sistemas y aplicaciones desactualizadas. La falta de actualización o parcheo de sistemas y aplicaciones constituye otra área propicia para ataques. La vulnerabilidad resultante puede comprometer la seguridad o disponibilidad de los datos almacenados, comprometiendo así la integridad del sistema.
· Contraseñas predeterminadas no modificadas. El uso de contraseñas predeterminadas para acceder a cuentas o funciones en sistemas y aplicaciones los vuelve fácilmente descifrables para los ciberdelincuentes, representando una amenaza significativa para la seguridad de la información.
· Eliminación de medios de almacenamiento sin previa eliminación de datos. La pérdida o robo de medios físicos de almacenamiento, como discos duros externos, memorias USB o CD-ROM, que contienen datos no suprimidos previamente, expone la información a terceros no autorizados, con consecuencias potencialmente graves para la confidencialidad de los datos.
· Respaldo inapropiado o irregular. La falta de un respaldo adecuado o prácticas de respaldo inconsistentes, también representa una vulnerabilidad en los sistemas de aseguradoras, comprometiendo la capacidad de recuperación frente a posibles incidentes.
¿Qué medidas proactivas pueden tomar las aseguradoras para prevenir ataques cibernéticos en lugar de simplemente reaccionar a ellos?
Las medidas proactivas en ciberseguridad se orientan hacia la prevención y mitigación de riesgos ante posibles ataques. En este contexto, las aseguradoras pueden adoptar diversas estrategias para salvaguardar sus sistemas y datos, entre las cuales se destacan:
· Implementación de una Política de Ciberseguridad. Establecer una política de ciberseguridad que abarque normas, procedimientos y objetivos esenciales para la gestión efectiva de la seguridad en la organización. Esta política debe contemplar la identificación y clasificación de riesgos; asignación adecuada de roles y responsabilidades; definición de estándares y mejores prácticas; promoción de la mejora continua, así como la comunicación y sensibilización de todos los colaboradores.
· Realización de Auditorías y Pruebas Periódicas. La ejecución regular de auditorías y pruebas tiene como objetivo verificar el cumplimiento de la política de ciberseguridad, identificar posibles debilidades y brechas en los sistemas y procesos, asegurando un entorno seguro y cumpliendo con estándares de calidad.
· Mantenimiento Actualizado de Equipos y Aplicaciones. Es fundamental mantener los equipos y aplicaciones actualizados con las versiones más recientes, que suelen incorporar correcciones de seguridad y mejoras en el rendimiento. Este proceso debe llevarse a cabo de manera regular, siguiendo un calendario preestablecido.
· Implementación de Software Antivirus y Anti-spyware. La utilización de programas antivirus y anti-spyware se convierte en una barrera efectiva contra virus, troyanos, gusanos y demás tipos de malware, protegiendo los equipos contra posibles infecciones a través de internet o medios externos.
· Uso de Firewalls. La implementación de firewalls, tanto en forma de dispositivos como programas, permite filtrar el tráfico entrante y saliente del sistema informático, bloqueando paquetes sospechosos o no autorizados y fortaleciendo la seguridad general.
· Cifrado de Información Sensible. La aplicación de técnicas de cifrado transforma la información en un código ilegible para aquellos que carecen de la clave de descifrado, añadiendo una capa adicional de protección a la información sensible.
· Generación de Contraseñas Seguras. Garantizar contraseñas únicas, de difícil adivinanza e inaccesibles sin herramientas adecuadas, es esencial. La adopción de prácticas de gestión de contraseñas robustas refuerza la seguridad de las cuentas y servicios.
· Educación del Personal en Ciberseguridad. Reconociendo al personal como uno de los principales actores en la prevención de ataques cibernéticos, la formación constante sobre buenas prácticas de ciberseguridad se vuelve imperativa para fortalecer la postura defensiva de la organización.
¿Cómo afecta la interconexión digital y el uso de tecnologías emergentes el riesgo cibernético en la industria aseguradora?
El progreso tecnológico y la creciente digitalización han generado un impacto dual en el lance cibernético que enfrentan las compañías de seguros.
Por un lado, la adopción de tecnologías digitales permite a las aseguradoras ofrecer servicios más ágiles, personalizados y eficientes, generando así oportunidades para expandir su presencia en el mercado. Sin embargo, este avance también conlleva un aumento en el riesgo de ataques cibernéticos.
La mayor exposición y dependencia de la tecnología por parte de las aseguradoras deja a sus sistemas y datos más susceptibles a posibles amenazas, destacando la necesidad crítica de abordar y gestionar, de manera integral, la seguridad cibernética en el entorno empresarial. Este equilibrio entre aprovechar las ventajas de la digitalización y mitigar los riesgos asociados se convierte en un imperativo estratégico para las empresas del sector asegurador.
¿Cuáles son los desafíos específicos que enfrentan las aseguradoras en términos de ciberseguridad y protección de datos?
Las aseguradoras se encuentran inmersas en diversos desafíos vinculados a la ciberseguridad y la salvaguarda de datos, enfrentando realidades, como:
· Incidentes de seguridad. El año pasado, casi la mitad de las compañías experimentaron incidentes de seguridad significativos que impactaron sus operaciones, destacando la necesidad urgente de reforzar las defensas cibernéticas.
· Tipos de ataques cibernéticos. Entre los riesgos más recurrentes se encuentran la suplantación de identidad (phishing), virus (incluyendo ransomware), ataques de denegación de servicio, robo de contraseñas, acceso no autorizado a sistemas y vulneración de sitios web, resaltando la complejidad del panorama de amenazas.
· Ransomware. Las aseguradoras identifican el ransomware, un tipo de ataque que bloquea el acceso a sistemas hasta el pago de un rescate, como la amenaza más peligrosa, subrayando la necesidad de estrategias específicas para combatir este riesgo inminente.
· Falta de profesionales en ciberseguridad. La escasez de especialistas en ciberseguridad es una realidad crítica. Este déficit resalta la urgencia de fortalecer las capacidades internas para abordar eficazmente las amenazas cibernéticas.
· Consecuencias de un ataque. Las aseguradoras manifiestan preocupación por las consecuencias de un ataque cibernético, incluyendo la interrupción del negocio, pérdida de datos de clientes, fuga de información confidencial, deterioro de la reputación, incumplimiento de normativas, quebranto económico directo y posibles sanciones económicas. Estas preocupaciones subrayan la necesidad de estrategias integrales para mitigar y gestionar eficazmente los impactos derivados de los ciberataques en el ámbito empresarial.